系统文件被篡改需先验证再修复：用rpm-V或dpkg--verify校验签名，stat查mtime/ctime突变，审计日志定位异常调用；重点扫描启动项、二进制、rootkit藏匿点；离线重装包、禁用可疑账户、部署AIDE监控，并溯源SSH日志与非标软件加固防御。
系统文件被篡改通常表现为服务异常、进程崩溃、权限异常或安全告警，这类故障本质是系统完整性遭到破坏，需快速定位篡改点并恢复可信状态。
确认是否真被篡改
别急着修复，先验证异常是否确由文件篡改引起：
- 用 rpm -V（RHEL/CentOS）或 dpkg --verify（Debian/Ubuntu）检查关键包文件签名与校验和，如
rpm -V systemd bash coreutils，输出中“S”“M”“5”等标记代表大小、权限、MD5变化 - 对比 /etc/shadow、/etc/passwd 的修改时间与最近登录/运维操作时间是否吻合；用 stat 查看 ctime/mtime 是否突变
- 检查 systemd journal 或 /var/log/audit/audit.log（若启用 auditd），搜索可疑 execve、openat、chmod 等系统调用记录
定位被篡改的文件范围
缩小排查范围，避免全盘扫描耗时：
- 重点检查启动项：/etc/init.d/、/etc/systemd/system/、/etc/cron.* 下是否有陌生脚本或异常软链接
- 核查二进制文件：运行
which sshd crond sudo systemctl，再用 ls -l 和 sha256sum 对比官方包哈希（可从相同版本镜像中提取基准值） - 扫描 rootkit 常见藏匿点：/lib/modules/*/kernel/（内核模块）、/usr/lib64/lib*.so（LD_PRELOAD 类劫持）、/proc/1/exe（init 进程是否被替换）
安全恢复与加固
恢复不是简单覆盖，要兼顾可用性与安全性：
- 从**离线可信源**重装受损包，例如：
yum reinstall openssh-server或apt install --reinstall --no-install-recommends systemd - 禁用可疑账户，清空 /root/.bash_history 和 /var/log/btmp（防止后续分析被干扰），但先备份原始日志到只读介质
- 启用文件完整性监控：部署 AIDE 或 tripwire 并生成初始数据库；或使用 systemd 的 systemd-path --user + inotifywait 做轻量级关键路径监听
溯源与防御闭环
不查清入口，问题会反复发生：
- 检查 SSH 登录日志（/var/log/auth.log 或 /var/log/secure），关注失败后成功的登录、非常用 IP、非工作时间操作
- 审查已安装软件：
rpm -qa | grep -iE "(web|ftp|php|python)"，尤其留意非仓库来源的包（如 .rpm 直接安装、pip install --user） - 关闭不必要的远程服务（如 telnet、rsh），限制 SSH 只允许密钥登录+指定 IP 段，配置 fail2ban 针对爆破行为自动封禁
